Vulnérabilité dans PHP permettant d'exécuter du code en mode CGI.

Une vulnérabilité a été détectée dans PHP (CVE-2024-4577), permettant l'exécution de code arbitraire sur le serveur ou l'accès au code source des scripts PHP lorsqu'ils sont exécutés en mode CGI sur la plateforme Windows (les configurations avec mod_php, php-fpm et FastCGI ne sont pas vulnérables). Le problème a été corrigé dans les versions PHP 8.3.8, 8.2.20 et 8.1.29.

La vulnérabilité est une variante d'un problème corrigé en 2012, CVE-2012-1823, pour lequel les protections mises en place se sont avérées insuffisantes pour bloquer l'attaque sur la plateforme Windows. La méthode d'attaque consiste à substituer un argument de ligne de commande lors du lancement de l'interpréteur PHP en manipulant les paramètres de la demande envoyée au script PHP.

Dans la vulnérabilité ancienne CVE-2012-1823, il suffisait de spécifier des options de ligne de commande au lieu de paramètres de requête, par exemple, «http://localhost/index.php?-s» pour afficher le code source du script. La nouvelle vulnérabilité repose sur le fait que la plateforme Windows effectue une conversion automatique des caractères, permettant ainsi de contourner la protection ajoutée précédemment en spécifiant des caractères présents dans certaines codifications et qui sont remplacés par le symbole «-» (par exemple, http://localhost/index.php?s).

La vulnérabilité a été confirmée dans des configurations avec des locales pour le chinois traditionnel (cp950), le chinois simplifié (cp936) et japonais (cp932), mais peut également se manifester avec d'autres locales. Le problème apparaît par défaut dans l'ensemble XAMPP (Apache + MariaDB + PHP + Perl), ainsi que dans toutes les configurations Apache où php-cgi est configuré comme gestionnaire de scripts CGI via la configuration
‘Action cgi-script «/cgi-bin/php-cgi.exe»‘ ou ‘Action application/x-httpd-php-cgi «/php-cgi/php-cgi.exe»‘, ou par le placement direct de l'interpréteur php dans «/cgi-bin» et dans tous les autres répertoires où l'exécution de scripts CGI est autorisée via la directive ScriptAlias.

De plus, les mises à jour PHP 8.3.8, 8.2.20 et 8.1.29 corrigent trois autres vulnérabilités :

• CVE-2024-5458 — possibilité de contourner le filtre
  FILTER_VALIDATE_URL, utilisé lors de l'appel de la fonction filter_var.
• CVE-2024-5585 — vecteur d'attaque alternatif contre la vulnérabilité CVE-2024-1874, permettant de contourner les protections précédemment mises en place et d'effectuer une substitution de commandes lors de l'appel de fichiers bat et cmd via la fonction proc_open sur la plateforme Windows (vulnérabilité BatBadBut).
• La fonction openssl_private_decrypt est vulnérable à l'attaque Marvin.

Source : opennet.ru